Le RGPD a huit ans, mais beaucoup de PME le traitent encore comme un sujet de juriste. Or dès que vous gérez des données clients, salariés ou fournisseurs, vous êtes concerné. Voici l’essentiel, côté hébergement.
L'essentiel
- Vous restez responsable de traitement : l'hébergeur est sous-traitant, et cela ne transfère pas votre responsabilité.
- Trois documents à exiger : un contrat de sous-traitance (DPA), la liste des sous-traitants ultérieurs, et les conditions de réversibilité.
- Registre des traitements : obligatoire, y compris pour une PME. Un ERP y figure comme un traitement, pas comme un détail.
- Durées de conservation : à définir par catégorie de données. C'est l'obligation la plus souvent ignorée, et la plus simple à remplir.
Savoir où sont vos données
Première obligation : maîtriser la localisation. Le RGPD encadre strictement les transferts de données personnelles hors UE. Un hébergement en France ou en Union européenne simplifie radicalement la conformité — pas de transfert à justifier, pas de zone grise juridique.
Tenir un registre des traitements
Vous devez documenter quelles données vous traitez, pourquoi, combien de temps vous les conservez et qui y accède. Ce registre n’est pas qu’une formalité : c’est la base d’une bonne hygiène de données.
Sécuriser, concrètement
Le RGPD impose des mesures « appropriées » :
- chiffrement en transit et au repos ;
- contrôle des accès (qui voit quoi) ;
- sauvegardes régulières et testées ;
- journalisation pour tracer les accès en cas d’incident.
Un bon hébergeur fournit ce socle ; encore faut-il qu’il soit en place et vérifié.
Encadrer vos sous-traitants
Vos prestataires qui touchent aux données (hébergeur, éditeur, infogérance) sont des sous-traitants au sens du RGPD. Il faut un accord de traitement (DPA) avec chacun. Choisir des partenaires européens et transparents évite bien des risques.
Le vrai danger n’est pas l’amende théorique : c’est la fuite de données réelle, qui détruit la confiance de vos clients du jour au lendemain.
La réversibilité : pouvoir partir
Souvent oubliée : vos données doivent rester exportables. Un socle open source (comme Odoo) et un hébergeur qui joue le jeu vous garantissent de ne jamais être prisonnier. Nous développons ce point dans « ERP souverain ».
L’approche Atalios
Hébergement OVHcloud en France, chiffrement, sauvegardes quotidiennes, données jamais transférées hors UE, socle open source réversible. La conformité par construction, pas en option.
Ce qui relève de vous, et ce qui relève de l'hébergeur
La confusion la plus répandue consiste à croire qu'un hébergeur « conforme RGPD » rend votre entreprise conforme. Il n'en rend conforme qu'une partie, et pas la plus exigeante.
| Obligation | Qui la porte |
|---|---|
| Sécurité de l'hébergement, chiffrement, sauvegardes | L'hébergeur |
| Localisation des données et des sauvegardes | L'hébergeur, par contrat |
| Registre des traitements | Vous |
| Base légale de chaque traitement | Vous |
| Durées de conservation et purge | Vous (l'outil les applique) |
| Information des personnes, droits d'accès | Vous |
| Notification d'une violation de données | Partagée : l'hébergeur vous alerte, vous notifiez la CNIL |
La colonne de droite est celle qui est oubliée, et aucune prestation d'hébergement ne la couvre. La bonne nouvelle : pour une PME, le registre des traitements et les durées de conservation représentent une demi-journée de travail, une fois. Notre DPA et notre politique de confidentialité couvrent la colonne de gauche.
Un point concret et rarement traité : les sauvegardes. Un droit à l'effacement exercé par une personne n'efface pas les sauvegardes antérieures, et ce n'est pas exigé — à condition que la durée de rétention des sauvegardes soit définie et documentée. Si elle ne l'est pas, elle le devient au premier contrôle.
Questions fréquentes
Un hébergeur conforme RGPD suffit-il à rendre mon entreprise conforme ?
Non. Il couvre la sécurité, la localisation et la traçabilité de l'hébergement. Restent à votre charge le registre des traitements, les bases légales, les durées de conservation, l'information des personnes et le traitement de leurs demandes. C'est la part qui demande du travail, et elle ne se délègue pas à un contrat.
Qu'est-ce qu'un DPA, et pourquoi l'exiger ?
C'est le contrat de sous-traitance prévu par l'article 28 du RGPD : il définit ce que le sous-traitant peut faire de vos données, ses obligations de sécurité, ses propres sous-traitants et le sort des données à la fin du contrat. Sans DPA signé, vous êtes en défaut, même si votre hébergeur est irréprochable techniquement.
Mon ERP doit-il figurer dans le registre des traitements ?
Oui, et pas en une ligne. Un ERP porte plusieurs traitements distincts — gestion commerciale, paie et RH, support client — avec des finalités, des bases légales et des durées différentes. C'est l'occasion de les écrire une fois correctement.
Que se passe-t-il pour mes données si je résilie ?
Vous récupérez un export complet et gratuit — base, fichiers, configuration — et nous supprimons les données selon le délai prévu au contrat. Demandez ce délai par écrit à tout prestataire : une suppression « dans un délai raisonnable » n'est pas une réponse.
En résumé
Localisation, registre, sécurité, sous-traitants, réversibilité : cinq réflexes qui mettent une PME au clair avec le RGPD. Faisons le point sur votre situation.
